瑞星卡卡安全论坛

怀疑电脑中毒  请高手帮忙分析下日志

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; iCafeMedia; .NET CLR 1.1.4322)

附件: SREngLOG.log

C:\Program Files\TFG\Agent\IgAgent.dll
是什么软件？

公司·用的解密加密软件

咋就看不见病毒:default3:

LZ说下具体症状吧

可能是加密软件和别的软件有冲突  我再试试看

再帮忙看下这篇日志  C:\WINDOWS\system32\SSVICHOSST.exe 是毒吧

附件: SREngLOG.log

进系统后只能看到背景图片  别的什么都看不到也调不出。。。任务管理器也被禁
不只如何是好了  难道只能重装？？？？

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; iCafeMedia; .NET CLR 1.1.4322)

进安全模式，msconfig设置为诊断启动后试试。
如果安全模式也进不去，只能重装了。
要是有条件，可以erd或者winpe启动，查看启动项内容。

Yahoo Messengger假雅虎
早有耳闻
第一次见到

操作方法稍等

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。



c:\windows\system32\ssvichosst.exe

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[Yahoo Messengger]    <C:\WINDOWS\system32\SSVICHOSST.exe>
注意该项[shell]修改：把<Explorer.exe SSVICHOSST.exe>修改为<Explorer.exe>即清除Explorer.exe后面的内容

第一次看到这种病毒..

几经努力终于打开了任务管理器  但桌面还是看不到  扫描了份日志 帮我分析下

附件: SREngLOG.log

http://bbs.ikaka.com/showtopic-8417665.aspx
3楼的附件
用里面的Explorer.EXE替换到WINDOWS目录

Logonui.exe
放入system32目录

用XDelBox删除c:\windows\system32\ssvichosst.exe  但重启后又出现了  注册表 任务管理器再次被禁:default11:

删除时勾选抑制再生

:kaka4: 终于解决了  万分感谢

都够了  杀完重启未见效  是不是别的地方还有啊

还不行？新日志看看:default3:

新扫的日志

附件: SREngLOG.log

什么破病毒

计划任务
[已启用] At1.job
        C:\WINDOWS\system32\SSVICHOSST.exe

进入C:\WINDOWS\tasks目录
先把这个At1.job计划任务删除再说

然后


1.建议使用XDelBox删除以下文件： Xdelbox1.8下载
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\ssvichosst.exe
c:\windows\system32\ssvichosst.exe

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[Yahoo Messengger]    <C:\WINDOWS\system32\SSVICHOSST.exe>
注意该项[shell]修改：把<Explorer.exe SSVICHOSST.exe>修改为<Explorer.exe>即清除Explorer.exe后面的内容

下面这是你什么软件？
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <IgAgent><"C:\Program Files\TFG\Agent\IgAgent.exe">  []
==================================
服务
[Information Guard Service / IGSvc][Running/Auto Start]
  <C:\Program Files\TFG\Agent\IgSvc.exe -start><N/A>
——————————————————————————————————————————
这里下载费尔木马强力清除助手,点选“抑制文件再生”删除下面文件。
http://bbs.ikaka.com/attachment.aspx?attachmentid=446804

删除：
C:\WINDOWS\SSVICHOSST.exe
C:\WINDOWS\system32\SSVICHOSST.exe
C:\DOCUME~1\hmf\LOCALS~1\Temp\AdskCleanup.0001

不论删除结果如何立即重启电脑，继续下面操作。
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <Yahoo Messengger><C:\WINDOWS\system32\SSVICHOSST.exe>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里将<shell>项目选择“编辑”，这必须关闭杀毒软件的监控，否则改不了可能。
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe SSVICHOSST.exe>  []

就是将 <AppInit_DLLs> 的“值”项编辑为
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  []

就是去掉  SSVICHOSST.exe  内容
————————————————————————————————
然后再去控制面板的计划任务里删除下面这个计划任务
==================================
计划任务
[已启用] At1.job
        C:\WINDOWS\system32\SSVICHOSST.exe
用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/
————————————————————————————————————
再重启电脑，反复检查，操作的结果，
杀毒软件升级至最新版本全盘杀。
记得打全系统漏洞补丁
SRENG工具的各项操作看这里：http://bbs.ikaka.com/showtopic-8545446.aspx

狮子7楼的日志就有那个计划任务，srenglog分析助手分析的日志吧，没有看到。:default9:

用解压工具WinRAR依路径打开文件夹找下面两文件，压缩发来：
C:\WINDOWS\SSVICHOSST.exe
C:\WINDOWS\system32\SSVICHOSST.exe

问题已解决  病毒保留了样本

附件: SSVICHOSST.rar

瑞星最新版本可杀